Ratgeber · Gewerbe
Cyberversicherung: Was sie für einen kleinen Betrieb leistet
Angegriffen wird nicht, wer wichtig ist, sondern wer erreichbar ist. Klein zu sein, schützt dabei nicht.
Maximilian Frischholz, Versicherungsmakler, Erlaubnis nach § 34d Abs. 1 GewO · Stand:
Kurz gesagt
Lohnt sich eine Cyberversicherung für kleine Betriebe?
Eine Cyberversicherung lohnt sich für einen kleinen Betrieb vor allem dann, wenn er ohne seine IT nicht arbeiten kann oder Kundendaten digital speichert. Laut BSI-Lagebericht 2025 richteten sich rund 80 Prozent der angezeigten Angriffe gegen kleine und mittlere Unternehmen. Die Police zahlt je nach Vertrag Forensik, Wiederherstellung, Ertragsausfall und Ansprüche Dritter, setzt aber voraus, dass Mindeststandards der IT-Sicherheit eingehalten werden.
- Sinnvoll, wenn der Betrieb ohne IT stillsteht oder Kundendaten digital speichert
- Pflicht des Betriebs: IT-Mindeststandards wie Updates und mindestens wöchentliche Datensicherung
- Lösegeld und Bußgelder zahlt sie nach den Musterbedingungen nicht
- Datenpanne: Meldung unverzüglich, möglichst binnen 72 Stunden (Art. 33 DSGVO)
Die Obliegenheiten
Was verlangt die Cyberversicherung von Ihrer IT?
Eine Cyberversicherung ist kein Vertrag, den man abschließt und vergisst. Die Musterbedingungen des GDV nennen Mindestanforderungen: eigene Zugänge für jeden Nutzer mit Regeln für Passwörter, Administratorrechte nur für die Administration, zusätzlicher Schutz für Server im Internet und für Mobilgeräte, ein sich selbst aktualisierender Schutz gegen Schadsoftware, zeitnahe Sicherheitsupdates und eine mindestens wöchentliche Datensicherung, die nicht von denselben Systemen überschrieben werden kann.
Diese Anforderungen sind Obliegenheiten. Wer sie vorsätzlich verletzt, verliert den Schutz; bei grober Fahrlässigkeit darf der Versicherer im Verhältnis zur Schwere des Verschuldens kürzen (§ 28 VVG). Hat die Verletzung weder den Schaden noch seinen Umfang beeinflusst, muss er trotzdem leisten, außer bei Arglist.
Für den Betrieb liegt darin auch ein Nutzen: Der Antrag zwingt dazu, den Zustand der eigenen IT einmal ehrlich aufzuschreiben. Lücken, die dabei auffallen, lassen sich schließen, bevor jemand sie ausnutzt.
Erfüllt Ihr Betrieb diese Anforderungen?
Wir gehen die Fragen aus dem Antrag mit Ihnen durch, bevor ein Versicherer sie stellt.
Im Ernstfall
Was tun nach einem Cyberangriff?
-
Betroffene Geräte vom Netz trennen
Das BSI rät, verdächtige Systeme sofort vom Netzwerk zu isolieren, etwa durch Ziehen des Netzwerkkabels, sie aber nicht herunterzufahren oder auszuschalten. Solange ein Gerät noch am Netz hängt, keine Anmeldung mit Administratorkonten.
-
Den Versicherer informieren
Mit Cyberversicherung sofort, bevor jemand Systeme neu aufsetzt oder Daten löscht. Die Musterbedingungen verlangen, das Schadenbild unverändert zu lassen, bis der Versicherer Änderungen erlaubt. Was sich nicht aufschieben lässt, wird dokumentiert. Ohne Versicherung früh einen IT-Sicherheitsdienstleister hinzuziehen.
-
Meldepflicht prüfen
Sind personenbezogene Daten betroffen, geht die Meldung unverzüglich und möglichst binnen 72 Stunden an die Datenschutzaufsicht, in Hessen an den Hessischen Beauftragten für Datenschutz und Informationsfreiheit.
-
Anzeige erstatten
Ansprechpartner für Unternehmen in Hessen ist die Zentrale Ansprechstelle Cybercrime (ZAC) beim Hessischen Landeskriminalamt, rund um die Uhr unter 0611 83-8377.
-
Wiederherstellen und dokumentieren
Aus einer sauberen Sicherung wiederherstellen, Zugangsdaten erneuern, die Lücke schließen (mit Versicherung in Absprache mit ihr). Den Ertragsausfall festhalten: Er ist die Grundlage der Entschädigung.
Häufige Fragen
Was Betriebe zur Cyberversicherung fragen
Ist ein kleiner Betrieb überhaupt ein Ziel für Angreifer?
Das BSI beobachtet einen Trend weg von großen, aufwendigen Angriffen hin zu vielen kleinen, einfach durchzuführenden. Kleinen und mittleren Unternehmen fehlen dabei laut BSI häufig die Mittel und das Wissen, um sich selbst zu schützen.
Zahlt die Versicherung ein Lösegeld?
Nach den Musterbedingungen des GDV nicht: Lösegeld- und Erpressungszahlungen sind ausgeschlossen. Einzelne Tarife regeln das anders. Das BSI rät grundsätzlich davon ab, Lösegeld zu zahlen, und empfiehlt, die Daten aus sauberen Sicherungen zurückzuspielen. Auch nach einer Zahlung gibt es keine Garantie für einen passenden Schlüssel.
Deckt meine Betriebshaftpflicht das nicht ab?
Nur einen Teil. Nach den Musterbedingungen kann die Betriebshaftpflicht Ansprüche Dritter aus Datenschutzverletzungen und aus weitergegebenen Schadprogrammen einschließen, mit eigener Summe. Die eigenen Kosten nach einem Angriff (Forensik, Wiederherstellung, Stillstand) zahlt sie nicht.
Zahlt die Cyberversicherung Bußgelder der Datenschutzaufsicht?
Nach den Musterbedingungen des GDV nicht, sofern nichts anderes vereinbart ist. Versichert sind aber die Kosten, die nach einer Datenpanne für die Prüfung und Erfüllung der gesetzlichen Informationspflichten entstehen.
Passt dazu
Weiterlesen
Cyber-Versicherung
Was die Police zahlt und was die Betriebshaftpflicht übernimmt.
Betriebshaftpflicht
Die Grundabsicherung jedes Betriebs.
Was die Betriebshaftpflicht abdeckt
Der Ratgeber zeigt, wo sie endet: Schaden oder Mangel, Tätigkeitsschäden, Mietsachen.
Inhalt & Ertragsausfall
Ertragsausfall nach Feuer, Leitungswasser oder Einbruch.
Gewerbeversicherung
Alle betrieblichen Versicherungen im Überblick und was davon Pflicht ist.
Unsicher, wie es bei Ihnen aussieht?
Wir sehen uns an, ob Ihr Betrieb die Voraussetzungen erfüllt. Das kostet Sie nichts. Wir werden über die Courtage vergütet. Und wenn nichts zu ändern ist, hören Sie auch das.